個人情報保護法の確認観点 — CRM・MA・カート移行で見落としやすい所
定期通販は顧客の契約状態や購入履歴を長期間保持し、MA・物流・決済代行・カート移行など外部に渡す機会が多い業態です。利用目的の特定から委託と第三者提供の切り分け、漏えい時の報告義務までの確認順序を整理します。
法規制・表示の全体像薬機法で落ちる表現 — 健康食品・化粧品のLPで確認する順序
定期通販では、購入履歴だけでなく、契約回数、配送先、問い合わせ記録を外部サービスと連携します。何のデータを、何の目的で、誰に渡すかを一覧にすることが、個人情報保護法の確認の起点です。
この記事は対応漏れを減らす実務上の確認順序です。個別の法的判断は、自社の契約・データの実態に基づいて行ってください。制度の根拠は個人情報保護委員会の通則編ガイドラインです（2026年10月7日確認）。
1｜取得する情報と利用目的を照合する
まず、カート、MA・CRM、CS、物流、広告媒体を並べ、入力・連携する情報を記録します。
| 場面 | 記録する例 | 確認する点 |
|---|---|---|
| 申込み | 氏名・住所・連絡先 | 取得時の案内と注文処理の目的 |
| MA・CRM | 購入商品・回数・停止状態 | 実際の配信や分析が利用目的の範囲内か |
| CS | 問い合わせ本文・解約理由 | 不要な機微情報まで記録していないか |
| 広告連携 | 識別子・連絡先のハッシュ値 | 提供先での照合や利用の範囲 |
個人情報を取得する際は、利用目的の特定と通知・公表等の要件を確認します。本人から申込書やWebフォームなどで直接取得する場面では、原則として取得前の明示が必要です。プライバシーポリシーを置くだけで、すべての取得場面に対応できたと判断しないでください。
2｜委託と第三者提供を契約・実態で分ける
自社の利用目的の達成に必要な範囲で処理を委託する場合と、提供先が独自の目的に使う場合は、扱いが異なります。委託には委託先の監督も必要です。
「物流会社だから委託」「広告媒体だから第三者提供」と名前だけで決めないこと。 契約、再委託、学習・二次利用、照合の実態を確認します。ハッシュ化したメールアドレスも、それだけで法の対象外になるとは判断できません。
国外のサービスへの連携では、国内の委託と同じ判断だけで終わらせず、外国にある第三者への提供編の要件も確認します（2026年10月7日確認）。保存先、現地からのアクセス、提供先の体制をベンダーへ質問します。
3｜カート移行は、移すデータと残すデータを決める
移行元と移行先の双方に、次を確認してください。
- 契約・配送・同意・配信停止の記録を、どの形式で移せるか。
- 新ベンダーの利用範囲・再委託先が現在の条件と変わるか。
- 旧ベンダーのデータ保持期間、バックアップの削除時点、必要な保存義務は何か。
- 運営主体の変更や事業譲渡、国外移転など、追加検討が必要な条件があるか。
- 削除・返却・移行完了を誰が記録して確認するか。
データが移せることと、適法に移せることは別です。委託の範囲や本人への対応を確認してから、カート移行の手順を進めます。
4｜CSの自由記述を必要最小限にする
病歴などの要配慮個人情報は、通常の個人情報より慎重な取扱いが必要です。健康食品の購入履歴だけで直ちに病歴と判断することはできませんが、問い合わせ本文に病名や治療内容が含まれることはあります。
CSでは、業務上必要な分類と詳細な自由記述を分け、閲覧できる担当者、保存期間、分析に使う範囲を決めます。解約分析用のデータには、目的に不要な氏名や医療情報を含めないようにします。AI解約分析のデータ定義シートは分析項目の整理に使えますが、法令適合を判定する資料ではありません。
5｜漏えい時の連絡先を先に決める
報告・本人通知の要否は、漏えい等の内容で判断します。個人情報保護委員会の対応資料は、報告対象と速報・確報の期限を案内しています（2026年10月7日確認）。事故対応手順には、この資料を確認する担当者を入れてください。
委託先からの連絡窓口、社内の責任者、影響範囲を調べるためのログ、本人への案内担当を、契約時に決めます。問い合わせ本文や注文情報を、そのまま関係者全員へ転送する運用は避けます。
6｜配信と外部送信は別々に確認する
LINEの友だち登録、メール配信への同意、個人情報の利用目的は、同じ確認事項ではありません。友だち登録だけから、別サービスへの提供やメール送信まで許可されたと解釈せず、実際の利用を確かめます。配信目的・停止方法の案内も整えてください。
Cookie・識別子の外部送信は、個人情報保護法に加え、提供するサービスの種類によって電気通信事業法の外部送信規律の確認が必要になる場合があります。タグを置いたECサイトがすべて同じ対象になるとは断定せず、通知・公表等の対応方法を個別に確認します。
確認を残す一覧
| 対象 | 担当者が残す記録 |
|---|---|
| 取得 | 取得画面と利用目的の文言・版 |
| 連携 | 渡す項目、受領先、目的、契約・再委託 |
| 移行 | 持ち出し・返却・削除の確認結果 |
| 保管 | 閲覧権限、保存期間、必要性の見直し日 |
| 事故 | 社内・委託先の連絡先と判断手順 |
よくある質問
Q. MAへの連携は委託だから同意を確認しなくてよいですか
名称だけでは決められません。利用目的、提供先の独自利用、国外への提供などを含めて確認し、委託先の監督も行います。
Q. ハッシュ化したメールアドレスなら自由に広告媒体へ渡せますか
そうとは判断できません。照合可能性や受領先での利用実態によって扱いが変わります。加工方法だけで判断せず、提供の仕組みを確認してください。
Q. カート移行時に何を残しておくべきですか
契約データだけでなく、利用目的、同意や配信停止の記録、移行後の利用範囲、旧ベンダーの削除確認を残します。
Q. 購入履歴をAI分析へ使ってもよいですか
利用目的、入力する項目、AIサービス側の保存・学習・国外取扱いを確認してから判断します。まず目的に不要な個人情報を除き、匿名化したつもりだけで安全と判断しないでください。
